CVE-2026-88861

Capgo (Cap-go/capgo.app), tüm sürümleri etkileyen bir kimlik doğrulama atlatma açığı içermektedir (yayınlandığı sırada yamalanmış bir sürüm mevcut değildir). Edge yetkilendirme yolu, hesapta doğrulanmış ve oturum için kullanılmamış bir MFA faktörü olsa bile, yalnızca şifre ile oluşturulmuş bir Supabase aal1 oturumunun ayrıcalıklı RBAC izinlerini kullanmasına izin verir: Edge JWT ara yazılımı (supabase/functions/_backend/utils/hono_middleware.ts dosyasındaki foundJWT()), güvence düzeyini doğrulamadan JWT'yi kabul eder ve doğrudan RBAC yolu (public.rbac_check_permission_direct() fonksiyonunu çağıran supabase/functions/_backend/utils/rbac.ts dosyasındaki checkPermission()/checkPermissionPg()), doğru şekilde aal2 gerektiren public.verify_mfa() kontrolünün aksine, oturum aal değerini iletmeden veya kontrol etmeden kullanıcı kimliği üzerinden yetkilendirme yapar. Bu nedenle, kurbanın yalnızca şifresini bilen bir saldırgan kimlik doğrulayabilir, aal1 oturumu kapatıldıktan sonra da geçerli kalan kalıcı uygulama kapsamlı bir app_admin API anahtarı oluşturabilir ve üretim OTA kanal yapılandırmalarını değiştirme (bir genel üretim kanalını bundle 1.0.0'dan 1.0.1'e değiştirerek doğrulanmıştır) gibi ayrıcalıklı işlemler gerçekleştirerek MFA tarafından sağlanan korumayı etkisiz hale getirebilir.